IT-Resilienz in geopolitischen Unsicherheiten: Sichtbarkeit, Risikobewertung und Handlungsfähigkeit

IT-Resilienz in geopolitischen Unsicherheiten: Sichtbarkeit, Risikobewertung und Handlungsfähigkeit.

ACT Digital ist ein Beratungsunternehmen mit dem Schwerpunkt Sicherheit und wurde 2017 gegründet und ist Teil der internationalen act digital Gruppe mit über 5.000 Experten weltweit. Ein Team von rund 60 hochqualifizierten Beratern arbeitet deutschlandweit verteilt und bietet Managementsystemberatung, Penetrationstests von Hard- und Software sowie Security Engineering Dienstleistungen an. Kristoffer Braun, Teamleiter für den Bereich Informationssicherheit, spricht im Interview über die ISO 27001-Implementierung, geänderte Angriffsszenarien und Schwachstellen-Behebung und Resilienz.

ISO 27001-Implementierung: Die größten Hürden

Kristoffer Braun: Wir beobachten drei zentrale Stolpersteine bei KMU: Erstens fehlt oft die realistische Einschätzung des Ressourcenaufwands:

• Viele unterschätzen, dass ISO 27001 kein IT-Projekt ist, sondern ein Kulturwandel im gesamten Unternehmen.
• Zweitens hapert es an der Priorisierung: Unternehmen wollen alles gleichzeitig perfekt machen, statt mit einer schlanken Risikobeurteilung zu starten und iterativ zu wachsen.
• Drittens, und das ist der Knackpunkt, scheitert es häufig an der Integration in bestehende Prozesse: Ein ISMS, das parallel zur Realität läuft, wird nie gelebt.

Unsere Erfahrung zeigt: Erfolgreiche Zertifizierungen entstehen dort, wo wir pragmatisch vorgehen und das ISMS in die DNA des Unternehmens einweben, statt ein Papiertiger-System aufzubauen.

Wandel der Angriffsszenarien

Kristoffer Braun: Die Angriffsmethoden haben sich in den letzten Jahren fundamental verändert: Weg von opportunistischen Einzelangriffen hin zu professionellen, automatisierten Kampagnen. Wir sehen drei Haupttrends:

• Erstens nutzen Angreifer zunehmend KI-gestützte Tools für Social Engineering und automatisierte Schwachstellensuche, was die Geschwindigkeit und Präzision massiv erhöht.
• Zweitens haben sich Supply-Chain-Angriffe vervielfacht: Angreifer infiltrieren nicht mehr die Haupttür, sondern kompromittieren Zulieferer und Dienstleister als Einfallstor.
• Drittens beobachten wir eine Professionalisierung der Ransomware-Szene mit “Ransomware-as-a-Service”-Modellen, die selbst technisch weniger versierten Kriminellen hochentwickelte Angriffswerkzeuge zur Verfügung stellen.

Bei unseren Penetrationstests für mehr Sicherheit simulieren wir genau diese realistischen Szenarien, denn nur wer versteht, wie moderne Angreifer denken, kann sich effektiv schützen.

Schwachstellen-Behebung: Wo es bei der Sicherheit hakt

Kristoffer Braun: Das größte Problem für die Sicherheit liegt nicht im Finden von Schwachstellen, sondern in deren Priorisierung und systematischer Behebung. Wir erleben regelmäßig, dass Unternehmen von der schieren Menge an Findings überwältigt sind und nicht wissen, wo sie anfangen sollen. Das führt zu Lähmung statt Aktion. Konkret hapert es an drei Punkten: Fehlende Verantwortlichkeiten (niemand fühlt sich zuständig), unklare Priorisierung (alles ist “kritisch”) und mangelnde Ressourcen für die Umsetzung. Die einfachste Lösung: Wir arbeiten mit einem klaren Risiko-Score, der Business-Impact und Ausnutzbarkeit kombiniert, und definieren gemeinsam mit dem Kunden einen realistischen Remediation-Plan mit konkreten Verantwortlichen und Deadlines. Ein Beispiel aus der Praxis: Statt 100 Findings auf einmal anzugehen, fokussieren wir uns auf die 10-15 wirklich kritischen Schwachstellen, die tatsächlich ausgenutzt werden könnten. Das schafft schnelle Erfolge und Momentum.

Wissensstand zu Data & AI bei deutschen Unternehmen

Kristoffer Braun: Der Wissensstand ist zweigeteilt: Während etwa ein Drittel der deutschen KMU bereits produktiv mit KI arbeitet und weitere 24 Prozent in der Testphase sind, fehlt vielen noch eine klare Strategie. Wir sehen oft, dass Unternehmen KI-Tools einsetzen, ohne die grundlegenden Datenarchitekturen dafür geschaffen zu haben. Das ist, als würde man einen Sportwagen auf unbefestigten Straßen fahren. Die größten Wissenslücken liegen in drei Bereichen: Datenqualität und -governance (viele haben Daten, aber keine Struktur), realistische Erwartungen an KI (es ist kein Allheilmittel) und die Integration in bestehende Geschäftsprozesse. Positiv ist: Das Bewusstsein wächst rasant, besonders bei größeren Mittelständlern mit 250+ Mitarbeitern. Unsere Rolle ist es, diese Lücke zu schließen. Wir helfen dabei, tragfähige Datenarchitekturen aufzubauen, bevor wir über fancy KI-Anwendungen sprechen.

Unterstützung bei digitaler Souveränität

Kristoffer Braun: Digitale Souveränität und Sicherheit bedeutet für uns konkret: Unternehmen müssen verstehen, wo ihre kritischen Abhängigkeiten in der IT-Sicherheitsarchitektur liegen und bewusste Entscheidungen treffen können. Wir unterstützen auf drei Ebenen:

• Erstens analysieren wir durch Security Assessments, welche Systeme, Daten und Sicherheitslösungen wirklich kritisch sind und wo Vendor Lock-ins entstehen.
• Zweitens identifizieren wir durch Penetrationstests Schwachstellen, die aus der Abhängigkeit von einzelnen Technologieanbietern resultieren, etwa wenn proprietäre Sicherheitslösungen nicht mehr gewartet werden oder Backdoors enthalten.
• Drittens, und das ist oft der wichtigste Punkt, bauen wir durch Schulungen und Knowledge Transfer internes Security-Know-how auf, damit Unternehmen ihre Sicherheitsarchitektur verstehen und nicht dauerhaft von externen Spezialisten abhängig bleiben.

Fokus bei IT-Resilienz für Sicherheit in geopolitischen Unsicherheiten

Kristoffer Braun: Unser Hauptaugenmerk liegt auf drei Säulen: Sichtbarkeit, Risikobewertung und Handlungsfähigkeit. Konkret bedeutet das: Wir analysieren zunächst die IT-Sicherheitsarchitektur aus der Supply-Chain-Perspektive, von Hardware-Komponenten über Software-Abhängigkeiten bis zu kritischen Sicherheitslösungen, und identifizieren Single Points of Failure. Dann bewerten wir geopolitische Risiken: Welche Sicherheitssysteme könnten bei internationalen Spannungen ausfallen, kompromittiert oder durch Sanktionen unbrauchbar werden. Besonders wichtig: Wir entwickeln technische Resilienz-Strategien, etwa durch Security-Assessments alternativer Technologien, Penetrationstests zur Validierung von Backup-Systemen und den Aufbau interner Security-Kompetenzen für kritische Komponenten.